Índice de contenidos
La normativa de protección de datos establece multas empresariales por realizar videovigilancia sin avisar, aunque las imágenes no se guarden
Nos hemos acostumbrado tanto a ellas y, a menudo, son tan pequeñas y están tan bien posicionadas, que no somos conscientes de la cantidad de cámaras de videovigilancia que hay en nuestras ciudades.
De hecho, en los últimos años han proliferado las cámaras de videovigilancia en los negocios, con un doble objetivo, controlar a los trabajadores y detectar infracciones de los clientes.
De ahí que ciudadanos y empresas se pregunten cómo afectan los sistemas de videovigilancia a la protección de datos personales y si es posible que se impongan multas empresariales por realizar videovigilancia sin avisar.
Para solventar estas cuestiones hay que acudir a las dos normas clave en esta materia: el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos (LOPDGDD).
La Agencia Española de Protección de Datos (AEPD), el órgano encargado de interpretar esta norma y fijar sanciones, ya ha impuesto multas empresariales por realizar videovigilancia sin avisar y ha ido aclarando qué deben hacer las empresas para poder usar sistemas de videovigilancia sin infringir el RGPD.
Por qué se pueden imponer multas empresariales por realizar videovigilancia sin avisar
En primer lugar, hay que aclarar que las empresas sí pueden contar con sistemas de videovigilancia. Así lo establece el artículo 22 de la LOPDGDD: «las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones».
Sin embargo, el uso de sistemas de videovigilancia está sometido a determinadas reglas:
- Solo se pueden captar imágenes de la vía pública cuando sea imprescindible para preservar la seguridad de personas, bienes e instalaciones.
- Las imágenes obtenidas deben suprimirse en el plazo máximo de 1 mes desde que son captadas, salvo aquellas que acrediten que se han cometido actos contra personas, bienes o instalaciones. En estos casos, deben facilitarse las imágenes a las fuerzas de seguridad en el plazo de 72 horas desde que se tuvo conocimiento de su existencia.
- De acuerdo con el artículo 12 del RGPD, se debe colocar en los establecimientos «un dispositivo informativo en lugar suficientemente visible» que incluya:
- La información sobre la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercer los derechos contemplados en el RGPD. Por ejemplo, la supresión de las imágenes.
- Un QR que remita a una web en la que figure esta información.
- En lo que respecta a los trabajadores, las empresas deben «informar con carácter previo, y de forma expresa, clara y concisa» a los empleados sobre la existencia de un sistema de videovigilancia. Si bien, en caso de que un trabajador haya cometido un acto ilícito, habrá bastado con la existencia del dispositivo informativo que señalamos antes. Eso sí, es fundamental tener en cuenta que no se pueden instalar cámaras en espacios como baños o vestuarios.
Como has podido comprobar, la propia LOPDGDD nos remite al artículo 12 del reglamento europeo. ¿Qué dice este precepto? Las empresas deben facilitar a los interesados (clientes, trabajadores, etc.) toda la información sobre el sistema de videovigilancia de «forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo».
Si no se cumplen estos requisitos, es posible imponer multas empresariales por realizar videovigilancia sin avisar. Sin ir más lejos, hace unos meses la AEPD multó a una empresa de grúas por sacarle una foto al DNI de un cliente para acreditar su identidad, pero también por haber instalado un sistema de videovigilancia sin informar debidamente a las personas sobre su existencia.
De qué forma se debe informar sobre la existencia de un sistema de videovigilancia
Según la AEPD, la normativa en vigor ha creado un sistema de información por capas en lo que respecta a los sistemas de videovigilancia:
- Capa 1: Se debe informar, como ya precisamos antes, sobre la propia existencia del sistema de videovigilancia, la identidad del responsable del tratamiento de datos, la posibilidad de ejercer los derechos recogidos en el RGPD (acceso, rectificación, supresión, limitación, portabilidad, oposición, no ser objeto de decisiones individuales automatizadas) y dónde conseguir más información sobre el tratamiento de datos.
- Capa 2: El resto de información contemplada en el artículo 13 del RGPD, que regula la información que se debe facilitar al obtener datos personales. Por ejemplo, el plazo de conservación de las imágenes o el derecho de las personas a presentar una reclamación ante la AEPD.
Además de aportar toda esta información para evitar multas empresariales por realizar videovigilancia sin avisar, también es importante la forma en que se transmite esta información. Así, la AEPD considera que:
- No es necesario especificar la ubicación exacta de las cámaras de vigilancia.
- El dispositivo donde se encuentre la información debe estar colocado en un lugar «suficientemente visible» y, como mínimo, en todos los accesos a la zona vigilada. Por ejemplo, en el caso de una tienda, a la entrada de la misma. Si dicha tienda tiene varias entradas, debe hacerse constar la existencia de un sistema de videovigilancia en todas ellas.
Si no se cumple esta obligación de información, se pueden imponer multas empresariales por realizar videovigilancia sin avisar debidamente.
Cómo se determina el importe de las multas empresariales por realizar videovigilancia sin avisar
La AEPD considera que no informar sobre la existencia de un sistema de videovigilancia cumpliendo todos los requisitos que venimos de listar supone una infracción del artículo 13 del RGPD.
Según la propia norma, infringir este precepto se puede sancionar con multas administrativas de hasta 20 millones de euros o el 4% del volumen de negocio global de la empresa incumplidora.
Como resulta evidente, estas sanciones máximas solo se pueden imponer en casos de extrema gravedad y donde entren en juego cuestiones como la reincidencia, la negligencia o la intencionalidad.
Así, el RGPD establece que se deben graduar las multas empresariales por realizar videovigilancia sin avisar teniendo en cuenta:
- La naturaleza, gravedad y duración de la infracción. En este sentido, se tienen en cuenta el número de personas afectadas y el nivel de los daños que hayan sufrido.
- La intencionalidad o negligencia.
- Las medidas tomadas para paliar los daños y perjuicios causados.
- El grado de responsabilidad del encargado del tratamiento de datos.
- La existencia de infracciones anteriores cometidas por la empresa.
- El grado de cooperación con la AEPD para subsanar la infracción cometida.
- La categoría de datos personales afectada. En este caso, la propia imagen de las personas.
- Cómo tuvo constancia la AEPD de la infracción. No es lo mismo que fuese un cliente o un trabajador quien la denunciase que que fuese la propia empresa la que la comunicase.
- Si se incumplieron medidas ordenadas por la AEPD previamente relacionadas, también, con la existencia de un sistema de videovigilancia del que no se ha informado debidamente.
- La adhesión de la empresa a códigos de conducta o mecanismos de certificación en materia de protección de datos.
- Cualquier otro agravante o atenuante, como pueden ser los beneficios obtenidos o las pérdidas evitadas con el tratamiento de datos.
En el caso de la empresa de grúas sancionada por la AEPD, la sanción fue de 3.000 euros. Además, la agencia dio 2 meses de plazo a la empresa para que colocase los pertinentes carteles informativos que permitiesen a los usuarios saber que estaban siendo grabados.
Igualmente, es importante recordar con respecto a la cuantía de las multas empresariales por realizar videovigilancia sin avisar que el importe de las sanciones se puede minorar en:
- Un 20% si la empresa reconoce su responsabilidad.
- Otro 20% si se abona la multa dentro del periodo de pago voluntario.
Qué deben hacer los negocios para evitar multas empresariales por realizar videovigilancia sin avisar
De cara a prevenir la imposición de multas empresariales por realizar videovigilancia sin avisar, la AEPD recomienda a las empresas que:
- Creen un registro de actividades de tratamiento. Este documento interno sirve para especificar cómo se va a realizar la videovigilancia de los espacios empresariales y la AEPD ofrece en su web modelos para realizarlo. Aunque las imágenes solo se reproduzcan en tiempo real y no vayan a almacenarse, es necesario crear este registro.
- Antes de poner en marcha el sistema de videovigilancia se debe informar sobre su presencia de manera visible y en todos los accesos a la zona vigilada.
- Sean conscientes de que contratar un servicio de videovigilancia externo no las exime de cumplir con la normativa de protección de datos.
- Adopten medidas de seguridad, tanto técnicas como organizativas, para regular el acceso a las imágenes por parte del personal del negocio. En este sentido, se debe informar a los trabajadores de sus obligaciones de seguridad (reserva, confidencialidad y sigilo) y de que están obligados a guardar secreto sobre lo visto en las imágenes. Igualmente, es necesario adoptar las medidas de seguridad que sean necesarias para evitar accesos no autorizados a las imágenes.
- Deben asegurarse de que las imágenes se conservan en un lugar seguro y que se borran pasado el plazo máximo de 1 mes.
Cómo reclamar ante la AEPD para que se impongan multas empresariales por realizar videovigilancia sin avisar
Cualquier usuario que se haya visto afectado por sistemas de videovigilancia no señalizados puede reclamar ante la AEPD para conseguir la imposición de multas empresariales por realizar videovigilancia sin avisar.
La Agencia Española de Protección de Datos ofrece un servicio para saber si tiene sentido presentar una reclamación relacionada con un sistema de videovigilancia. Este servicio funciona como una suerte de cuestionario, en el que el usuario va respondiendo preguntas realizadas por la plataforma de la AEPD. ¿Qué información se solicita?
- La dirección del establecimiento.
- La identidad de la empresa infractora.
- Fotografías que permitan constatar la existencia de cámaras y su ubicación.
- La existencia o no del dispositivo informativo sobre este tratamiento de datos personales.
Si se dispone de esta información y, además, se cuentan con pruebas que avalen la infracción, es posible reclamar ante la AEPD y lograr que la agencia imponga multas empresariales por realizar videovigilancia sin avisar.
En Lex Hoy colaboramos con asesores legales especializados en protección de datos que tienen a sus espaldas una amplia trayectoria asesorando a las empresas para que no les impongan multas empresariales por realizar videovigilancia sin avisar, así como elaborando las reclamaciones de usuarios y gestionando el procedimiento sancionador ante la AEPD. Puedes encontrar un jurista cerca de tu domicilio en nuestro buscador de abogados.
